Omstreden EU-datawet van kracht voor ict-sector

In dit artikel:

De Europese eEvidence-verordening is op 18 augustus in werking getreden. Digitale dienstverleners, waaronder internet- en communicatiebedrijven, cloud- en opslagproviders, onlineplatforms, marktplaatsen en beheerders van domein- en IP-diensten, moeten gegevens verstrekken wanneer een rechter uit een EU-lidstaat daarom vraagt. Het kan gaan om onder meer e-mail- en contactgegevens, IP-adressen en communicatiegegevens. De regeling moet grensoverschrijdende opsporing versnellen en de samenwerking tussen lidstaten eenvoudiger maken.

Bedrijven moeten hun systemen ook inrichten voor Europese verstrekkings- en bewaringsbevelen. Voor een verstrekkingsbevel geldt normaal een termijn van tien dagen; bij spoed kan binnen acht uur reactie worden verlangd. Daarnaast moeten dienstverleners zich registreren in de nieuwe Court Database, maar die registratie is nog niet mogelijk. In Nederland wordt dat naar verwachting pas begin 2027 geregeld, omdat de ACM nog geen toezichtbevoegdheid heeft. De overige verplichtingen gelden al, waardoor Nederlandse bedrijven nu al verzoeken uit andere EU-landen kunnen ontvangen.

Privacyorganisaties, advocaten, cloudbedrijven en andere belangenorganisaties vrezen dat buitenlandse autoriteiten rechtstreeks data kunnen opvragen zonder voorafgaande controle in het land waar de provider gevestigd is. Daardoor kunnen gegevens worden verstrekt voor feiten die daar niet strafbaar zijn. Ook zouden de korte termijnen, het gebrek aan voorafgaande kennisgeving aan gebruikers en beperkte mogelijkheden om bezwaar te maken de rechtsbescherming aantasten. Tot slot bestaat het risico op conflicten met Amerikaanse wetgeving, zoals de Cloud Act en ECPA.